DNS over HTTPS (DoH): wat het is en hoe je het aanzet

DNS over HTTPS (DoH) versleutelt het opzoeken van websitenamen: de vraag bij welk IP-adres een naam als ljpc-hosting.nl hoort. Je internetprovider en anderen op hetzelfde netwerk kunnen dan niet meer meelezen welke websites je opzoekt en de antwoorden onderweg niet aanpassen. Je zet DoH aan in je browser, in Windows, Android, op je iPhone of in je router, bij een DNS-dienst die het ondersteunt, zoals Google, Cloudflare, Quad9 of DNS4EU.

In dit artikel lees je wat DoH is en hoe het werkt, wat het verschil is met DNS over TLS (DoT), wat het wel en niet beschermt, welke DoH-adressen de bekende diensten gebruiken en hoe je DNS over HTTPS per apparaat aanzet en controleert.

Wat is DNS over HTTPS (DoH)?

DoH staat voor DNS over HTTPS. Elke keer dat je een website opent of een app iets ophaalt, vraagt je apparaat eerst aan een DNS-server, de resolver, welk IP-adres bij de naam hoort. Gewone DNS stuurt die vraag onversleuteld over poort 53. Iedereen tussen jou en de resolver kan dan zien welke namen je opzoekt: de eigenaar van een openbaar wifinetwerk, je internetprovider of iemand die het netwerk afluistert. In theorie kan zo iemand ook een vals antwoord terugsturen, zodat je op een nagemaakte website uitkomt.

Met DoH gaat dezelfde DNS-vraag door een versleutelde HTTPS-verbinding over poort 443, net als het verkeer naar een beveiligde website. De resolver bewijst met een certificaat wie hij is, en niemand onderweg kan de vraag of het antwoord lezen of veranderen. De techniek is sinds 2018 een officiële internetstandaard, RFC 8484.

Hoe werkt DNS over HTTPS?

1. Je opent een website. Je browser of besturingssysteem heeft het IP-adres van de naam nodig.
2. Er gaat een versleutelde verbinding open naar de DoH-resolver, bijvoorbeeld https://dns.google/dns-query. Je apparaat controleert het certificaat van de resolver.
3. De DNS-vraag gaat versleuteld naar de resolver. Die zoekt het antwoord op: uit zijn cache, of bij de nameservers van het domein.
4. Het antwoord komt versleuteld terug en je browser maakt verbinding met de website. De verbinding met de resolver blijft open, zodat volgende vragen geen nieuwe verbinding nodig hebben.

DoH versleutelt de route tussen jouw apparaat en de resolver. Daarachter, tussen de resolver en de nameservers van een domein, gaat DNS meestal nog onversleuteld. Dat deel beveiligt DNSSEC: met digitale handtekeningen controleert de resolver of het antwoord echt van de eigenaar van het domein komt.

DNS over HTTPS en DNS over TLS: het verschil

Er zijn meer manieren om DNS te versleutelen. DNS over TLS (DoT) en DNS over HTTPS bieden dezelfde bescherming; ze verschillen vooral in hoe het verkeer eruitziet op het netwerk.

DoT heeft een eigen poort, 853. Een netwerkbeheerder ziet daardoor dat het om DNS gaat en kan het toestaan of blokkeren. DoH gebruikt poort 443 en lijkt op ander HTTPS-verkeer, zodat het minder makkelijk te herkennen en te blokkeren is. Daarom kiezen browsers voor DoH, terwijl routers en Android vaak DoT gebruiken. Android 11 en nieuwer gebruiken sinds een Google Play-systeemupdate uit 2022 bij bekende diensten die het ondersteunen DNS over HTTP/3, een snellere variant van DoH, volgens Google.

Wat DNS over HTTPS wel en niet beschermt

DoH is een flinke stap vooruit voor je privacy, vooral op netwerken die je niet zelf beheert. Het is goed om te weten waar de bescherming ophoudt.

Dit beschermt DoH

• Meelezen op het netwerk. Op wifi in een hotel, trein of café en bij je internetprovider is niet meer te zien welke namen je opzoekt.
• Vervalste antwoorden onderweg. Een apparaat op het netwerk kan je geen vals IP-adres meer toesturen, omdat het antwoord versleuteld en afkomstig van de resolver is.

Dit beschermt DoH niet

• De resolver zelf. De dienst die je kiest, ziet al je DNS-vragen. Je verplaatst het vertrouwen dus van je provider naar die dienst. Wat Google, Cloudflare, Quad9 en DNS4EU met je gegevens doen, lees je in publieke DNS-servers vs die van je provider.
• IP-adressen. Je provider ziet nog steeds met welke servers je verbinding maakt.
• De naam in de HTTPS-verbinding. Aan het begin van een HTTPS-verbinding stuurt je browser de naam van de website vaak nog leesbaar mee (SNI). De nieuwere techniek Encrypted Client Hello (ECH) versleutelt ook die naam, maar alleen als zowel je browser als de website het ondersteunt.
• Je overige verkeer. DoH is geen VPN: je IP-adres en de rest van je internetverkeer blijven zoals ze zijn.
• Malware en phishing. Versleuteling alleen blokkeert niets. Een filterende dienst, zoals Quad9 of DNS4EU Protective, houdt bekende schadelijke domeinen wel tegen.

DoH-adressen van bekende DNS-diensten

Een DoH-dienst heeft een adres in de vorm van een URL. Voor DNS over TLS gebruik je een hostnaam. Deze adressen gebruik je in de stappen hieronder. Alle vier hebben we in november 2026 getest.

De IP-adressen van deze diensten, hun filtervarianten en hun privacybeleid staan in publieke DNS-servers vs die van je provider. Welke dienst vanaf jouw verbinding het snelst antwoordt, meet je met een DNS-benchmark. DNS4EU is volgens de makers bedoeld voor particulieren, niet voor organisaties.

DNS over HTTPS aanzetten

Je kunt DoH op twee niveaus aanzetten. In je besturingssysteem geldt het voor alle apps op dat apparaat, in je browser alleen voor die browser. Noteer de oude instelling voordat je iets verandert, zodat je altijd terug kunt.

Windows 11

1. Open Start, Instellingen en kies Netwerk en internet. Kies je verbinding: Wi-Fi of Ethernet.
2. Klik bij de DNS-servertoewijzing op Bewerken en kies Handmatig.
3. Zet IPv4 aan en vul bij Voorkeurs-DNS het IP-adres van je dienst in, bijvoorbeeld 9.9.9.9 voor Quad9.
4. Kies onder DNS over HTTPS de optie Aan (automatische sjabloon). Windows kent de DoH-adressen van onder meer Google, Cloudflare en Quad9 en vult ze zelf in. Voor een andere dienst, zoals DNS4EU, kies je Aan (handmatige sjabloon) en vul je de URL uit de tabel in.
5. Wil je dat Windows nooit terugvalt op onversleutelde DNS, zet dan de schakelaar uit waarmee Windows terugvalt op onversleutelde DNS (in de Engelse versie van Windows heet die Fallback to plaintext). Herhaal de stappen voor de alternatieve DNS-server en voor IPv6, en klik op Opslaan.

Android

1. Open Instellingen, tik op Netwerk en internet en daarna op Privé-DNS. Op een Samsung zoek je in Instellingen naar Privé-DNS.
2. Kies Hostnaam van privé-DNS-provider.
3. Vul de DoT-hostnaam van je dienst uit de tabel in, bijvoorbeeld dns.google, en tik op Opslaan.

Privé-DNS geldt voor wifi en mobiele data. Kies je de stand Automatisch, dan versleutelt Android de DNS alleen als de DNS-server van het netwerk dat ondersteunt.

iPhone, iPad en Mac

Apple heeft in Instellingen geen veld voor een DoH-adres. Versleutelde DNS stel je in met een configuratieprofiel of een app van je DNS-dienst. Quad9 en DNS4EU bieden profielen voor iPhone en iPad aan, Cloudflare de app 1.1.1.1. Zo installeer je een profiel op je iPhone:

1. Open de instructiepagina van je dienst in Safari en download het profiel, bijvoorbeeld via de handleiding van Quad9.
2. Open Instellingen en tik bovenaan op Profiel gedownload.
3. Tik op Installeer, voer je toegangscode in en bevestig de melding dat je netwerkverkeer via de DNS-server loopt.

Later bekijk of verwijder je het profiel in Instellingen, Algemeen, VPN en apparaatbeheer. Op een Mac open je het gedownloade profiel en rond je de installatie af in Systeeminstellingen. Safari heeft geen eigen DoH-instelling en volgt het systeem. Sinds iOS 16 en macOS Ventura schakelen Apple-apparaten bovendien vanzelf over op versleutelde DNS als de DNS-server van je netwerk laat weten dat hij dat ondersteunt (Discovery of Designated Resolvers, RFC 9462).

Chrome en Edge

1. In Chrome kies je rechtsboven Meer, Instellingen, en links Privacy en beveiliging, Beveiliging.
2. Zet onder Geavanceerd de optie Beveiligde DNS gebruiken aan.
3. Kies je huidige serviceprovider of kies een andere provider in de lijst. Staat jouw dienst er niet in, vul dan zelf de URL uit de tabel in.

Beveiligde DNS staat in Chrome standaard in de automatische stand: Chrome gebruikt DoH als je huidige DNS-dienst het ondersteunt en valt anders terug op gewone DNS. Kies je zelf een provider, dan valt Chrome niet terug, legt Google uit. Op een beheerd apparaat of met ouderlijk toezicht kun je de instelling niet gebruiken. In Edge typ je edge://settings/privacy in de adresbalk en zet je onder Beveiliging de optie Beveiligde DNS gebruiken aan.

Firefox

1. Open Instellingen, kies Privacy en Beveiliging en scrol naar DNS over HTTPS.
2. Kies een beschermingsniveau en kies onder Kies provider je dienst, of vul een eigen URL in.

In de vernieuwde instellingen van Firefox heten de keuzes Standaard bescherming, Aangepast en Uit. Met Aangepast gebruik je altijd beveiligde DNS en bepaal je zelf de provider en of Firefox mag terugvallen.

Router

Sommige routers versleutelen DNS voor je hele netwerk, meestal met DNS over TLS. Een FRITZ!Box heeft bij de instellingen voor de DNS-server een optie voor versleutelde naamomzetting (DNS over TLS), waarin je de DoT-hostnaam van je dienst invult. Kun je in de modem van je provider geen versleutelde DNS instellen, zet het dan per apparaat of per browser aan.

Controleren of DNS over HTTPS werkt

• Cloudflare: open one.one.one.one/help. Bij Using DNS over HTTPS (DoH) staat Yes als je via DoH bij Cloudflare uitkomt.
• Quad9: on.quad9.net laat zien of je Quad9 gebruikt.
• Firefox: in het onderdeel DNS over HTTPS staat de status, bijvoorbeeld Actief, met de provider die Firefox gebruikt.
• Opdrachtregel: met dig vanaf versie 9.18 stel je zelf een DoH-vraag, bijvoorbeeld dig @dns.google +https ljpc-hosting.nl. Met +tls in plaats van +https test je DNS over TLS.

DNS over HTTPS op kantoor en in je beveiligingsbeleid

Op een bedrijfsnetwerk wil je meestal dat alle DNS via één resolver loopt die je kunt filteren en loggen. Een browser die zelf DoH gebruikt, gaat daar langs. Zo houd je het in de hand:

• Kies één resolver met versleuteling en stel die op alle apparaten in, zodat zakelijke apparaten ook onderweg beschermd zijn.
• Regel de browsers met beleid: in Chrome en Edge met DnsOverHttpsMode en DnsOverHttpsTemplates, in Firefox met het beleid DNSOverHTTPS. In Windows staat het groepsbeleid Configure DNS over HTTPS (DoH) name resolution onder Netwerk, DNS-client.
• Laat Firefox weten dat je netwerk zelf filtert. Geeft je eigen resolver voor het domein use-application-dns.net geen adres terug (NXDOMAIN), dan zet Firefox in de stand Standaard bescherming geen DoH aan.

Staat er in je beveiligingsbeleid dat resolvers waar mogelijk DNS over HTTPS gebruiken, leg dan ook vast welke resolver dat is en hoe je voorkomt dat apparaten een andere kiezen. Hoe malware DNS juist misbruikt om ongezien gegevens weg te sluizen, en waarom één gecontroleerde resolver daartegen helpt, lees je in wat is DNS-tunneling.

Wat LJPc hosting hierin voor je regelt

DoH speelt zich af tussen je bezoekers en hun resolver. Je website en e-mail bij LJPc hosting zijn bereikbaar voor iedereen, met of zonder versleutelde DNS:

• Bereikbaar via elke resolver. Gebruikt je domein onze nameservers, dan geven ns1, ns2 en ns3.ljpc.network het officiële antwoord over je domein. Elke resolver haalt het daar op, of een bezoeker nu DoH gebruikt of niet. Je hoeft hiervoor niets in te stellen.
• DNSSEC automatisch. Staat je domein bij ons geregistreerd en gebruikt het onze nameservers, dan zetten we DNSSEC automatisch aan. Samen met DoH is zo de hele route beschermd: DoH tussen bezoeker en resolver, DNSSEC tussen resolver en onze nameservers. Bij een DoH-vraag aan bijvoorbeeld Google zie je dat terug: curl -s -H "accept: application/dns-json" "https://dns.google/resolve?name=jouwdomein.nl&type=A" geeft "AD":true als de handtekeningen kloppen.
• HTTPS voor je website. Elk webhostingpakket heeft gratis SSL, en wie via http binnenkomt, sturen we standaard door naar https. Na het opzoeken is de verbinding met je website dus ook versleuteld. Meer daarover in SSL-certificaat: wat het is en hoe je het installeert.

Je DNS-records beheer je in Plesk of in het klantenportaal op portal.ljpc.nl; hoe, lees je in DNS-records beheren. Werkt je domein niet zoals je verwacht, dan helpt DNS-problemen oplossen je verder, of maak een supportticket aan, dan kijken we met je mee.